Auskundschaften von Informationen - PRAKTIKUMSAUFGABE 2020 - München - Gruppe 10 - IT-Forensik Wiki
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Auskundschaften von Informationen PRAKTIKUMSAUFGABE 2020 München – Gruppe 10 PROF. DR. A. RAAB-DUSTERHÖFT | BACHELOR IT-FORENSIK, INFORMATIONSRECHERCHE IM INTERNET
Inhalt
Aufgabenstellung ................................................................................................................................. 2
Zu 1) Auswahl eines Unternehmens .................................................................................................... 2
Zu 2) Aktuelle Footprinting-Recherche-Tools inkl. Demo .................................................................. 3
Footprinting Tools (inkl. Demo) ...................................................................................................... 4
SpiderFoot .......................................................................................................................................... 4
Whois ................................................................................................................................................. 8
Wayback Machine .............................................................................................................................. 8
OSINT Framework .......................................................................................................................... 10
Built With ......................................................................................................................................... 14
Ping Befehl (CMD) .......................................................................................................................... 15
Nslookup Befehl (CMD).................................................................................................................. 16
Links zu weiteren Tools zum Downloaden .................................................................................... 16
Zusammenfassung der Footprinting-Recherche-Tools .................................................................. 16
Zu 3) Google-Abfragen ...................................................................................................................... 17
Suche nach E-Mail-Adressen ......................................................................................................... 17
Subdomains .................................................................................................................................... 20
Externe Useraccounts ..................................................................................................................... 20
Gezielte Suche auf sozialen Netzwerken ......................................................................................... 20
Public PGP Keys ............................................................................................................................ 21
Weitere Suchanfragen .................................................................................................................... 21
Suche nach Login-Möglichkeiten .................................................................................................... 21
Suche nach Dokumenten.................................................................................................................. 24
Suche nach Passwörtern ................................................................................................................... 26
Zusammenfassung der Google Anfragen ....................................................................................... 26
Zu 4 und 5) Informationen zur Wirecard AG im Dark Web .............................................................. 26
Hidden Wikis und Suchergebnisse ................................................................................................. 26
3g2upl4pq6kufc4m.onion (DuckDuckGo) ...................................................................................... 27
http://zqktlwiuavvvqqt4ybvgvi7tyo4hjl5xgfuvpdf6otjiycgwqbym2qad.onion/wiki/index.php/Main
_Page ................................................................................................................................................ 27
tordex7iie7z2wcg.onion (Tordex) .................................................................................................... 28
xmh57jrzrnw6insl.onion (Torch) ..................................................................................................... 29
msydqstlz2kzerdg.onion (Ahmia) .................................................................................................... 29
hss3uro2hsxfogfq.onion (not Evil) .................................................................................................. 29
reconponydonugup.onion (Recon) ................................................................................................... 31
avengersdutyk3xf.onion (Dread) ..................................................................................................... 31
Zusammenfassung der Darkwebsuche ........................................................................................... 32
Quellen ............................................................................................................................................... 33
Aufgabenstellung
1) Wählen Sie eine Institution, ein Unternehmen, ein Verein, ein Shop oder ähnliches!
2) Recherchieren Sie im Internet nach aktuellen Werkzeugen, mit denen man Footprinting-
Recherchen durchführen kann! Dokumentieren Sie die gefundenen Tools und nutzen Sie
diese anhand einer Beispiel-Domain. Listen Sie alle Informationen auf, die Sie über das
Unternehmen, die Institution, etc. gefunden haben.
3) Formulieren Sie Google-Abfragen, die oben genannte Informationen bzgl. des
Unternehmens, der Institution, etc. (versuchen zu) liefern! Dokumentieren Sie diese!
4) Recherchieren Sie im Dark web, welche Informationen Sie zu dem Unternehmen, der
Institution, etc. gefunden haben. Installieren Sie einen TOR-Browser, um eine Dark Web-
Suche durchzuführen.
5) Dokumentieren Sie Ihr Vorgehen im Dark Web und die gefundenen Informationen!
Zu 1) Auswahl eines Unternehmens
Wir haben uns für die Wirecard AG entschieden, da das Unternehmen in der letzten Zeit oft mit
Negativschlagzeilen für Aufmerksamkeit gesorgt hat.
Hiervon versprechen wir uns, dass ausreichend aktuelle Daten für unsere Recherche vorhanden
sind.
Abbildung 1: Handelsblatt – Artikel vom 07.06.2020
Abbildung 2: Investing.com – Chart Wirecard AG, Stand 21.06.2020 Zu 2) Aktuelle Footprinting-Recherche-Tools inkl. Demo Footprinting ist die erste Phase eines Hackerangriffs und beinhaltet die Informationsbeschaffung über ein Ziel bzw. Zielsystem. Footprinting kann in aktives und passives Footprinting unterteilt werden. Aktives Footprinting: Das aktive Footprinting beinhaltet die Informationsbeschaffung über Tools. Hier werden Infos gewonnen, welche nicht unbedingt aus öffentlichen Quellen (siehe passives Footprinting) ersichtlich sind bzw. die Informationsbeschaffung erfolgt durch aktive Abfrage beim Ziel (Tools, Gespräche mit Mitarbeitern, Bewerbungsgespräche). Passives Footprinting: Beim passiven Footprinting werden Infos aus öffentlich zugänglichen Quellen extrahiert. Die Informationsbeschaffung erfolgt also nicht direkt beim Ziel selbst. Quellen hierfür können u. a. die Homepage des Opfers, Suchmaschinen (inkl. Google Hacking), Stellenausschreibungen, Zeitungsartikel sein.
Footprinting Tools (inkl. Demo)
SpiderFoot
- SpiderFoot ist eine Webanwendung, welche lokal auf dem Rechner läuft, in Python
geschrieben wurde und über 100 öffentliche Datenquellen zu einem Ziel abfragt.
- Dabei sammelt und bereitet es u. a. Informationen wie IP-Adressen, (Sub)Domain-Namen,
Externe Useraccounts, E-Mail-Adressen, Namen, Public PGP Keys auf (siehe Screenshots).
Mit diesem Tool können bspw. Datenlecks und Schwachstellen aufgedeckt werden
- SpiderFoot gibt es in 2 Versionen. Eine kostenlose Open Source und eine gebührenpflichtige
Version, welche die kostenlose Version um zusätzliche Funktionalität und einen
Performanceboost erweitert.
https://www.spiderfoot.net/ [aufgerufen am 21.06.2020, 23:23 Uhr]
Abbildung 3: SpiderFoot – Neue Suche nach einem Ziel starten
Die Scanergebnisse werden in verschiedener Form dargestellt: Abbildung 4: SpiderFoot – Darstellung der Ergebnisse Tabellenform Abbildung 5: SpiderFoot – Darstellung der Ergebnisse Diagramm I
Abbildung 6: SpiderFoot – Darstellung der Ergebnisse Diagramm II Detailseiten: Abbildung 7: SpiderFoot – Darstellung der gefundenen E-Mail-Adressen (37 Treffer)
Abbildung 8: SpiderFoot – Darstellung der gefundenen Subdomains (56 Treffer) Abbildung 9: SpiderFoot – Darstellung der gefundenen externe Useraccounts (29 Treffer) Abbildung 10: SpiderFoot – Darstellung der gefundenen Public PGP Keys, welche E-Mailadressen der Domain Wirecard.com zugeordnet werden können (28 Treffer)
Whois
- Whois ist eine große Datenbank, die Infos über eine Vielzahl an Webseiten enthält. Hier
können bspw. Infos über die Domain, den Registrant, die Administratoren und technische
Kontakte bezogen werden (siehe Screenshot).
Whois gibt es als Kommandozeilen-Tool und als Webapplikation.
https://www.whois.com/whois/wirecard.com [aufgerufen am 08.06.2020, 23:42 Uhr]
Abbildung 11: Wohis – gesammelte Informationen
Wayback Machine
- Besitzt den offiziellen Status einer Bibliothek. Die Wayback Machine ist ein Onlinedienst,
mit dem man die gespeicherten Webseiten in verschiedenen Versionen abrufen kann. Mit ihr
können bspw. ältere Versionen der Website nach brauchbaren/kritischen Infos durchsucht
werden.
https://web.archive.org/web/20050715000000*/wirecard.com [aufgerufen am 09.06.2020, 00:20 Uhr]
Abbildung 12: Wayback Machine – Auswahl des Snapshots Abbildung 13Wayback Machine – Wirecard.com Stand 19.11.2005
OSINT Framework
- OSINT Framework ist eine Plattform, welche unzählige kostenlose Tools und Ressourcen
anbietet, um eine Vielzahl an Informationen über Unternehmen, Webseiten… zu erhalten.
Hier gibt es auch Tools mit deren Hilfe Dokumente nach versteckten Informationen
durchsucht werden können.
Mit Hunter wird das Netz bspw. auf Firmen E-Mail-Adressen durchsucht und angezeigt.
Mit Hacker Target – Reverse DNS können u. a. DNS Lookups, Port Scans und Reserve
DNS Einträge angezeigt werden (IP-Adresse zu Host-Name).
https://osintframework.com/ [aufgerufen am 09.06.2020, 01:00 Uhr]
Abbildung 14: OSINT Framework – Übersicht der ToolsAbbildung 15: OSINT Framework – Hunter Auslesen von E-Mail-Adressen Abbildung 16: OSINT Framework – Hacker Target Auslesen von Reverse DNS-Einträgen
Abbildung 17: OSINT Framework – Hacker Target Auslesen von DNS-Einträgen Abbildung 18: OSINT Framework – Hacker Target Port Scan
Abbildung 19: OSINT Framework – SpyOnWeb Domain-Infos, IP-Adressen und relevante Domains, DNS-Infos
Abbildung 20: OSINT Framework – SpyOnWeb Details Subdomains
Built With
- Mit dieser Webanwendung können Webseiten nach den hier verwendeten Technologien
überprüft werden
https://builtwith.com/ [aufgerufen am 09.06.2020, 01:00 Uhr]Abbildung 21: Built With – Verwendete Technologien
Ping Befehl (CMD)
- Mit dem Ping Befehl kann zu einer Domain die zugehörige IP-Adresse herausgefunden
werdenAbbildung 22: Ping Befehl – Ergebnis
Nslookup Befehl (CMD)
- Mit dem Nslookup Befehl werden beim hinterlegten DNS-Server Infos zu der jeweiligen
Domain oder IP-Adresse angefragt
Abbildung 23: Nslookup Befehl – Ergebnis
Links zu weiteren Tools zum Downloaden
https://home.ubalt.edu/abento/453/footscan/footscantools.html
[aufgerufen am 08.06.2020, 23:42 Uhr]
Zusammenfassung der Footprinting-Recherche-Tools
Über die Footprinting-Tools ließen sich eine Vielzahl an Infos sammeln, welche nicht durch
Suchabfragen bei einer Suchmaschine auffindbar waren.
Besonders interessant waren die unzähligen E-Mail-Adressen und welche Technologie die
Wirecard-Website verwendet.
Allerdings stellt sich die Frage der Glaubwürdigkeit und wie die Footprinting-Tools die hier
getätigten Eingaben verarbeiten.
Alles in allem erleichtern sie jedoch die Arbeit enorm, auch wenn sie keine unternehmenskritischen
Informationen ans Licht brachten.
Eine Validierung der Ergebnisse hätte den Umfang dieser Praktikumsaufgabe gesprengt.Zu 3) Google-Abfragen Suche nach E-Mail-Adressen Verwendeter Suchbegriff: site: wirecard.com intext:(email | e-mail) AND wirecard.com Die Suchergebnisse beinhalteten sowohl offizielle Kontaktmöglichkeiten Abbildung 24: Suche nach E-Mail-Adressen I Abbildung 25: Suche nach E-Mail-Adressen II als auch E-Mailadressen von Angestellten der Firma „Wirecard“: Abbildung 26: Suche nach E-Mail-Adressen III Abbildung 27: Suche nach E-Mail-Adressen IV Eine Suche ohne Einschränkung auf „site:wirecard.com“ lieferte weitere Adressen, von denen eine Beispielhaft in den Bericht aufgenommen wird: Abbildung 28: Suche nach E-Mail-Adressen V Verwendeter Suchbegriff: intext:(mail | e-mail | mailto | kontakt) AND wirecard.com Dieser Suchbegriff schlägt bei allen in Klammern genannten Suchwörtern an, sobald im Dokument nur einmal wirecard.com genannt wurde. Daher besitzt die Ergebnisliste auch 113.000 Treffer. Erwähnt werden sollte allerdings folgendes Top 10 Dokument:
Abbildung 29: Suche nach E-Mail-Adressen VI Diese Webseite gibt eine Übersicht über den Aufbau von Wirecard E-Mail-Adressen und listet nach Anmeldung sogar die gefundenen E-Mail-Adressen von hochrangingen Mitarbeitern auf (sofern diese stimmen): Abbildung 30: Suche nach E-Mail-Adressen VII
Außerdem erhält man zahlreiche Google Books Suchtreffer: Abbildung 31: Suche nach E-Mail-Adressen VIII Abbildung 32: Suche nach E-Mail-Adressen VIV
Auch Lebensläufe von Aufsichtsratskandidatinnen wurden gefunden: Abbildung 33: Suche nach E-Mail-Adressen X Subdomains Verwendeter Suchbegriff: inurl:wirecard.com -www Abbildung 34: Suche nach Subdomains I Externe Useraccounts Gezielte Suche auf sozialen Netzwerken Verwendeter Suchbegriff: inurl:wirecard site:twitter.com Abbildung 35: Suche nach Externen Useraccounts – Twitter Verwendeter Suchbegriff: inurl:wirecard site:linkedin.com Abbildung 36: Suche nach Externen Useraccounts – LinkedIn
Verwendeter Suchbegriff: inurl:wirecard site:instagram.com Abbildung 37: Suche nach Externen Useraccounts – Instagram Public PGP Keys Verwendeter Suchbegriff: intext:"begin pgp public" site:wirecard.com Abbildung 38: Suche nach Public PGP Keys I Die von SpiderFoot festgestellten PGP-Keys können durch Google so nicht gefunden werden, da sie sich in einer Datenbank (https://pgpkeys.co.uk → Deep Web) befinden, die erst durch ein Formularfeld abgefragt werden muss. Abbildung 39: Suche nach Public PGP Keys I Da Google dies nicht leistet, sind keine Treffer möglich. Weitere Suchanfragen Suche nach Login-Möglichkeiten Verwendeter Suchbegriff: site:wirecard.com (intitle:login | inurl:login) Die Suche ergab insgesamt 96 Ergebnisse, von denen hier ein Teil der ersten Trefferseite abgebildet ist:
Abbildung 40: Suche nach Login-Möglichkeiten I Verwendeter Suchbegriff: site:wirecard.com (intitle:admin | inurl:admin) Die Suche ergab zwei Treffer: Abbildung 41: Suche nach Login-Möglichkeiten II
Der erste Treffer verweist auf eine Loginmöglichkeit, die mit „Program Management“ betitelt ist: Abbildung 42: Suche nach Login-Möglichkeiten III, Quelle https://wp1.wirecard.com/US/admin/Pages/Login.aspx Der zweite Suchtreffer verweist auf ein Portal das mit „::CoreMoney::“ betitelt ist. Da die Webadresse den Begriff „ForgotPwd“ enthält, ist anzunehmen, dass es sich hierbei um ein Portal zum Reset der Login-Daten handelt: Abbildung 43: Suche nach Login-Möglichkeiten IV, Quelle https://wp1.wirecard.com/US/admin/Pages/ForgotPwd.aspx?Direct=Yes
Suche nach Dokumenten Verwendeter Suchbegriff: site:wirecard.com filetype:rtf Die Suche ergab ein Ergebnis, bei dem es sich um die Beglaubigte Abschrift der Satzung der Wire Card AG handelt: Abbildung 44: Suche nach Dokumenten I Hinweis: Obwohl nach der Dateiendung „rtf“ gesucht wurde, ergab der Suchtreffer ein PDF- Dokument. Der Suchtreffer entstammt den Metadaten der PDF-Datei in denen der ursprüngliche Speicherpfad und das ursprüngliche Dateiformat festgehalten sind. Auch die Ordnerstruktur, in der das Original RTF-Dokument abgelegt wurde lässt sich daraus ablesen. Abbildung 45: Suche nach Dokumenten II, Quelle https://ir.wirecard.com/download/companies/wirecard/Hauptversammlung/11_DE_Satzung_Stand_Juni2016_beglaubigt_final.pdf
Verwendeter Suchbegriff: site:wirecard.com filetype:xlsx Die Suche ergab ein Ergebnis. Dabei handelt es sich um eine XLS-Datei, die vermutlich Finanzdaten zum Rückkauf von ausgegeben Aktien enthält: Abbildung 46: Suche nach Dokumenten III Abbildung 47: Suche nach Dokumenten IV, Quelle https://ir.wirecard.com/download/companies/wirecard/sbb_xls/Wirecard_Daily_2019_12_11.xlsx Verwendeter Suchbegriff: site:wirecard.com filetype:pdf Die Suche ergab insgesamt 1380 Treffer. Diese umfassen, z.B. Informationen zu weiteren Aktienrückkäufen, Hauptversammlungen oder Investorpräsentationen. Abbildung 48: Suche nach Dokumenten V
Suche nach Passwörtern Verwendeter Suchbegriff: site:wirecard.com intext:(password | passwort) Die Suche ergab 151 Treffer, wobei die ersten beiden Suchtreffer tatsächliche Passwörter aufweisen, die sich vermutlich auf Testsysteme beziehen: Abbildung 49: Suche nach Passwörtern I Weitere, abgewandelte Suchen nach Passwörtern innerhalb der Seite „wirecard.com“ wurden durchgeführt, diese ergaben jedoch lediglich Treffer für Seiten, die keine tatsächlichen Passwörter aufwiesen (z.B. Sicherheitshinweise, bereits dokumentierte Login-Seiten, usw.). Zusammenfassung der Google Anfragen Durch die Nutzung des von Google zur Verfügung gestellten Syntax für Suchanfragen war es möglich viele der von den Footprinting Tools gesammelten Informationen ebenfalls aufzufinden. Teilweise ergaben sich schon in der Ergebnisanzeige von Google selbst wertvolle Informationen (z.B. die Ordnerstruktur eines Notariats). Da vor allem SpiderFoot auch hinter Formularen verborgene Informationen lieferte, muss festgestellt werden, dass Google nicht alles an Informationen liefern kann, was möglich ist. Zu 4 und 5) Informationen zur Wirecard AG im Dark Web Die Suche fand am 31. Mai sowie 01. und 25. Juni 2020 statt. Ausgangspunkt der Suche sind diverse Wikis, welche unter anderem auf Onion-Linklisten und Darknet-Suchmaschinen verweisen. Als Suchbegriff wurde “Wirecard” eingegeben. Hidden Wikis und Suchergebnisse Die nachfolgend verwendeten Links stammen aus der bewerteten Linkliste “dark.fail” darkfailllnkf4vf.onion.
3g2upl4pq6kufc4m.onion (DuckDuckGo) Ergab 40 Ergebnisse, allerdings lediglich aus dem Clearnet. Abbildung 50: Hidden Wiki I http://zqktlwiuavvvqqt4ybvgvi7tyo4hjl5xgfuvpdf6otjiycgwqbym2qad.onion/wiki/index.php/Main_P age Die Suchmaschine “The Hidden Wiki” brachte kein Ergebnis. Abbildung 51: Hidden Wiki II
ndntmfusjmj6tkpl.onion Abbildung 52: Hidden Wiki III tordex7iie7z2wcg.onion (Tordex) Die Suchmaschine “Tordex” brachte kein Ergebnis. Abbildung 53: Hidden Wiki IV
xmh57jrzrnw6insl.onion (Torch)
Die Suchmaschine “Torch” xmh57jrzrnw6insl.onion brachte kein Ergebnis.
Abbildung 54: Hidden Wiki V
msydqstlz2kzerdg.onion (Ahmia)
Die Suchmaschine “Ahmia” brachte kein Ergebnis.
Abbildung 55: Hidden Wiki VI
hss3uro2hsxfogfq.onion (not Evil)
Die Suchmaschine “not Evil” brachte zwei Ergebnisse:
1. http://sexdq7iwyb4u7ah4.onion/shopsearch → nicht erreichbar
2. http://zqktlwi4i34kbat3.onion führt zu einem weiteren Hidden-Wiki. Der Link im
Suchergebnis:
http://zqktlwi4i34kbat3.onion/wiki/index.php?title=Spam_Nation_The_Story_Behind_Orga
nized_Crime
führt zu einer Publikation von Brian Krebs zum Thema Cybercrime. Darin wird Wirecard in
Kapitel 9 der Story im Kontext von Kreditkartenbetrug erwähnt.Abbildung 56: Hidden Wiki VI Abbildung 57: Hidden Wiki VII
reconponydonugup.onion (Recon)
Die Suchmaschine “Recon” brachte kein Ergebnis.
Abbildung 58: Hidden Wiki VIII
avengersdutyk3xf.onion (Dread)
Die Suchmaschine “Dread” brachte zwei Ergebnisse.
3. http://dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion/post/21165d5ced0
d3b21273d
Anzeige im Apollon Market mit Wirecard im Angebot.
Abbildung 59: Hidden Wiki IV
4. dreadytofatroptsdj6io7l3xptbet6onoyno2yv7jicoxknyazubrad.onion/post/673171c3e309abcf
bc98
Ca. 1 Monat alter, journalistischer Beitrag im Chronos Forum über den Wirecard
Betrugsskandal April 2020Abbildung 60: Hidden Wiki V Zusammenfassung der Darkwebsuche Die erste allgemeine Suche im Darkweb über Onion-Suchmaschinen und -Linklisten brachte zwar Ergebnisse, jedoch waren diese nicht direkt verwertbar und für ein weiteres Vorgehen mit dem Ziel der Informationsbeschaffung zwecks Hacking der Wirecard AG eher ungeeignet. Auf das Anlegen von Accounts in Darknet-Marktplätzen und Foren für Kreditkartenbetrug, Hackingdienste, etc. sowie deren Inanspruchnahme wurde in diesem Zusammenhang verzichtet, wenngleich sich auf diese Weise sicherlich, noch eine ganze Menge an weiteren konkret verwertbaren Informationen und Mittel beschaffen ließen.
Quellen https://hackingpress.com/footprinting/#The_Wayback_Machine [aufgerufen am 09.06.2020, 00:10 Uhr] https://www.w3schools.in/ethical-hacking/footprinting/#Open-Source_Footprinting [aufgerufen am 09.06.2020, 00:10 Uhr] https://securitytrails.com/blog/top-20-intel-tools [aufgerufen am 09.06.2020, 00:10 Uhr] https://www.tutorialspoint.com/ethical_hacking/ethical_hacking_footprinting.htm [aufgerufen am 09.06.2020, 00:10 Uhr] https://de.wikipedia.org/wiki/Footprinting [aufgerufen am 09.06.2020, 00:10 Uhr] https://de.wikipedia.org/wiki/Whois [aufgerufen am 09.06.2020, 00:10 Uhr] https://de.wikipedia.org/wiki/Internet_Archive#Webarchiv [aufgerufen am 09.06.2020, 00:24 Uhr] https://www.handelsblatt.com/finanzen/banken-versicherungen/zahlungsdienstleister-strafanzeige- razzia-jahresbilanz-wirecard-steht-unter-dauerstress/25894978.html [aufgerufen am 21.06.2020, 23:45 Uhr] https://www.investing.com/equities/wire-card [aufgerufen am 21.06.2020, 23:45 Uhr] https://it-forensik.fiw.hs-wismar.de/images/f/f7/IR_HH2.pdf [aufgerufen am 22.06.2020, 00:27 Uhr] https://it-forensik.fiw.hs-wismar.de/images/1/1c/IR_MUE4.pdf [aufgerufen am 21.06.2020, 00:27 Uhr]
Sie können auch lesen
